В случае vds
Первый вариант.
Можно настроить домены в веб-сервере, а dns не трогать. Заказчику дать записи для /etc/hosts. В этом случае очень тяжело будет посторонним найти ваш тестовый сайт и при этом не надо вводить логин/пароль в корне.
Другой вариант. Поддомены прописываются на dns и в настройках веб-сервера. Я на своем тестовом домене прописал запись * с указанием на тестовый сервер. И создаю поддомены только со стороны веб-сервера. Очень удобно, когда надо быстро развернуть новый тестовый сервер и не надо ждать обновление dns.
В случае с записью * поддомены также тяжело найти. Они не попадают в базы dns, которые потом используют потом различные обходчики, парсеры и т.д.